什么是木马-程序员充电站

文章目录

- 木马是如何攻击的？
- 木马的常见类型
- 木马的特征
- 如何防御木马
- 华为如何帮您抵御木马

木马一名来源于古希腊特洛伊战争中著名的“木马计”。和故事中相仿，木马通过伪装成正常软件被下载到用户主机，随后黑客通过木马控制用户主机并盗取用户信息。由于计算机中了木马后不会表现出异常，所以往往很难发现，具有很强的隐蔽性。
木马不同于计算机病毒的地方在于计算机病毒是能够实现自我复制的一组恶意代码，而木马则不会自我复制，不具有传染性。

木马是如何攻击的？

木马通常采取下图方式实施对用户计算机的攻击：

木马的攻击流程

伪装木马

伪装木马，攻击者事先会将木马伪装成正常软件，常用的木马伪装方法如下：

修改图标：攻击者会将木马的图标修改成常用的文件图标。例如文本、图片或HTML等文件的图标。
修改名称：攻击者的常用手段是将木马的名称修改为系统文件的名称，因为用户一般不会轻易删除系统文件。
修改扩展名：一般情况下，木马文件后缀名为.exe（可执行文件），但攻击者会将木马修改为常用文件类型的扩展名。
捆绑文件：攻击者常会将木马和某文件捆绑在一起。例如，将木马和一个损坏的 ZIP 包（可自制）捆绑在一起。

传播木马

木马常通过邮件附件和网页站点下载的方式被传播。具体手段如下：

邮件钓鱼：攻击者冒充用户邮箱联系人或知名机构向用户发送携带木马附件的邮件，一旦用户点击附件，木马就会自动下载安装至用户计算机中。
网站钓鱼：攻击者将木马上传到钓鱼网站中，并将网站设置为用户访问自动下载该木马，然后通过社会工程诱骗用户访问该网站以实现木马的传播。
危险站点植入：攻击者会攻破软件下载站点，随后将下载量大的软件捆绑上木马，或将木马下载链
接隐藏在站点的弹出式广告中。

运行木马

木马被下载后会自动安装和运行，在首次运行时，会自动更改注册表信息，将自身写入到启动配置文件或注册表中。例如，木马在system.ini等文件或注册表自启动项中添加自身路径，以达到目标主机开机时木马能自动加载的目的。

远程控制

感染用户计算机后，木马会持续监视该主机。在用户不知情的情况下，攻击者能通过下发命令实现对用户计算机的远程控制，并完成木马传播者下发的攻击指令。例如，盗取用户信息、执行DDoS攻击，甚至以用户计算机为跳板感染内网其他设备。

木马的常见类型

远程访问型木马
远程控制是现代木马的基本功能，木马会设法与用户计算机建立连接，随后通过远程下发命令实现远程抓取、文件传输、屏幕截取等功能。

典型代表有：灰鸽子、冰河等。

盗取密码型木马
这类木马以找到所有的隐藏密码为主，如各种社交帐号的账户和密码，网络游戏中游戏账号和密码，并在受害者不知情的情况下将密码信息发送出去。

典型代表有：Wirenet等。

记录键值型木马
记录键值型木马顾名思义就是记录你每一次的敲击键盘操作。这种木马程序会随着操作系统的启动而自动加载，分为在线和离线两种，分别记录用户在在线和离线两种状态下敲击键盘的情况。记录键值型木马一般也有邮件发送功能，能通过邮件将记录的信息发送给控制者。

典型代表有：Magic Lantern、键盘记录器木马变种EOM等。

DDoS攻击型木马
攻击者通过木马程序控制被感染的主机，那些被感染的主机称为“肉鸡”。攻击者通过控制大量“肉鸡”发起DDoS（distributed denial of service，分布式拒绝服务）攻击。例如，攻击者针对网站发起DDoS攻击，导致网站服务器资源被大量占用，无法正常为用户提供服务。

典型代表有：Satan DDoS僵尸网络木马、魔鼬等。

网银木马
网银木马主要针对银行的网上交易系统，该木马旨在窃取用户的银行账户信息，包括银行账号和密码信息，给个人财产安全带来很大的危害。

典型代表有：Tiny Banker Trojan、Xenomorph等。

木马的特征

木马与计算机病毒最大的区别在于木马不会自我复制，也不会主动发起攻击。木马的主要特点为：

隐藏性
隐藏性是木马的最重要特性，木马能够长时间潜伏在用户计算机中不被发现。木马虽然会在系统启动时自动运行，它将自身隐藏在合法的程序中，运行时不会在“任务栏”中生成图标，不会在任务管理器中被轻易发现。这使得用户和一些安全软件难以发现木马的存在。
欺骗性
欺骗性是指木马一般会通过将自己包装为普通的软件来欺骗用户和躲避安全软件查杀。木马的欺骗方法很多，例如修改木马程序的图标，或更改文件名称将自己伪装成系统服务等。
危害性
危害性是指当木马被植入目标主机以后，攻击者可以通过对客户端的远程控制进行一系列能造成严重后果的非法行为，例如窃取机密文件、控制系统的运行和以失陷主机为跳板感染其他主机等。